Vaihtoehdot valtuutetun CRA-edustajan palkkaamiselle: palveluntarjoajat ja 2026 hinnat

• CRA:n 18 artikla vaatii edustajan EU:n ulkopuolisille valmistajille, jotka myyvät EU:ssa
• EU-pohjaiset valmistajat eivät tarvitse valtuutettua edustajaa
• Maahantuojat tai jakelijat voivat toimia edustajina, jos heidät on nimetty
• Vahvistetut 2026 hinnat vaihtelevat 490 € - 999 € vuodessa
• Mandaatissa on vain edustus, ei vaatimustenmukaisuuden arviointia tai testausta
• EU:n ulkopuoliset B2B- ja B2C-digituotteiden myyjät tarvitsevat yleensä tämän palvelun

Päivitetty 19 October 2026 · 7 lähteet tarkistettu

Palveluntarjoajat verrattu

Hinnat on julkaistu kunkin palveluntarjoajan verkkosivustolla 19 October 2026, ilman arvonlisäveroa ellei toisin mainita. Jokainen rivi linkittää sen lähteeseen.

Mitä Cyber Resilience Act vaatii (artiklanumerot mukana)

Cyber Resilience Act (CRA, asetus (EU) 2024/2847) on laaja säädös, joka asettaa pakolliset kyberturvallisuusvaatimukset kaikille EU-markkinoille saatettaville digitaalisia elementtejä sisältäville tuotteille. Laki koskee sekä uusia että olemassa olevia tuotteita, ja velvoitteet kattavat koko tuotteen elinkaaren suunnittelusta ja kehityksestä ylläpitoon ja elinkaaren loppuun. CRA tuli voimaan 10. joulukuuta 2024 ja on täysin sovellettavissa 11. joulukuuta 2027 alkaen.

18 artikla on keskeinen EU:n ulkopuolisille valmistajille: se vaatii EU:n ulkopuolella toimivia nimeämään valtuutetun edustajan, joka on perustettu EU:ssa. Tämä edustaja toimii virallisena yhteyspisteenä markkinavalvontaviranomaisille ja vastaa viestinnän ja dokumentaation välittämisestä. EU-pohjaiset valmistajat eivät tarvitse edustajaa. EU:n ulkopuolisten valmistajien on nimettävä edustaja tai heillä on oltava maahantuoja tai jakelija, joka on kirjallisesti nimetty tähän rooliin.

14 artikla asettaa tiukan 24 tunnin raportointivaatimuksen aktiivisesti hyödynnetyistä haavoittuvuuksista tai vakavista turvallisuusongelmista. Valmistajan on ilmoitettava ENISA:lle (Euroopan kyberturvallisuusvirasto) 24 tunnin kuluessa tapahtuman havaitsemisesta, täydellinen ilmoitus 72 tunnin sisällä ja lopullinen raportti 14 päivän sisällä. Määräajat ovat kalenteritunteja, eivät työaikoja. Raportointialusta on ENISA:n hallinnoima. Velvollisuus on valmistajalla, ei maahantuojalla tai jakelijalla, ellei tuote ole heidän nimissään markkinoilla.

53 artikla määrää seuraamuksista, jotka voivat olla jopa 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta vuotuisesta liikevaihdosta, kumpi on suurempi. CRA valvotaan CE-merkinnän ja markkinavalvonnan kautta, ja se koskee kaikkia digitaalisia elementtejä sisältäviä tuotteita EU:ssa sijainnista riippumatta.

• 18 artikla: Valtuutettu edustaja EU:n ulkopuolisille valmistajille
• 14 artikla: 24 tunnin haavoittuvuuksien raportointi
• 53 artikla: Sakot ja valvonta

Lisätietoja lain tekstistä löytyy virallisesta EU-yhteenvedosta.

Miten valita CRA:n valtuutettu edustaja

Oikean CRA-valtuutetun edustajan valinta on ratkaiseva askel EU:n ulkopuolisille valmistajille. Edustaja toimii virallisena yhteyshenkilönä EU:ssa sääntely- ja markkinavalvontakysymyksissä. Keskeiset valintakriteerit ovat:

• Oikeushenkilö ja sijainti: Varmista, että palveluntarjoaja on rekisteröity oikeushenkilö EU:ssa. Esimerkiksi REP27 — Europe Services, SE on perustettu Prahassa, Tšekissä, ja se on varmennettavissa Tšekin kaupparekisteristä.
• Hinnoittelun läpinäkyvyys: Etsi palveluntarjoajia, jotka julkaisevat selkeästi sekä ensimmäisen vuoden että uusintahinnat. REP27 ilmoittaa 490 € ensimmäiseltä vuodelta ja 440 € uusinnasta, alennuksia saatavilla yhdistetyissä mandaatissa. Monet palveluntarjoajat eivät julkaise uusintahintoja, mikä voi johtaa yllätyskustannuksiin.
• Palvelun laajuus: Tarkista, mitä mandaatti sisältää. 18 artiklan mandaatti kattaa kirjallisen nimityksen, varmennettavan todistuksen ja pyyntöpisteen viranomaisviestien välittämiseen. Jotkut tarjoajat saattavat väittää tarjoavansa enemmän, mutta lain mukaan edustaja ei voi suorittaa vaatimustenmukaisuuden arviointia tai tuotetestausta – nämä ovat 18 artiklan ulkopuolella.
• Varmennus ja dokumentaatio: Hyvä palveluntarjoaja tarjoaa todistuksen julkisella varmennuksella (esim. QR-koodi), jotta viranomaiset ja ostajat voivat helposti varmistaa vaatimustenmukaisuuden.
• Poissulkemiset ja rajoitukset: Luotettavat palveluntarjoajat ilmoittavat selkeästi, mitä ei sisälly, kuten vaatimustenmukaisuuden arviointi, SBOM:n luonti tai häiriötilanteiden hallinta. Tämä auttaa välttämään väärinkäsitykset ja piilokustannukset.

Alla yhteenveto kunkin palveluntarjoajan sisällöstä ja poissulkemisista (jos tiedossa):

Pyydä aina kirjallinen vahvistus palvelun laajuudesta, poissulkemisista ja uusintaehdoista ennen sopimuksen allekirjoittamista.

Mitä hinta todella sisältää

CRA-valtuutetun edustajan kustannus on usein pienin osa kokonaisvaatimustenmukaisuuskustannuksista, mutta on tärkeää ymmärtää, mitä ostaa. Julkaistu hinta kattaa vain 18 artiklan mandaatin, joka sisältää tyypillisesti:

• Kirjallisen nimityksen edustajalle EU:ssa
• Nimitystodistuksen, usein QR-koodilla tai julkisella varmennussivulla
• Pyyntöpisteen EU-viranomaisten, kuten markkinavalvonnan ja CSIRT:ien, viestien vastaanottoon ja välitykseen

Mitä ei sisälly hintaan:

• Vaatimustenmukaisuuden arviointi (tarvitaan tärkeille II-luokan ja kriittisille tuotteille; hoidetaan ilmoitettujen laitosten toimesta, ei edustajien)
• Turvatestaus tai SBOM:n (Software Bill of Materials) luonti
• Häiriötilanteiden hallinta tai tekninen työ
• Raportointi ENISA:lle (edustaja välittää, mutta ei laadi tai toimita raportteja)

Yhdistettyjä palveluita voi olla saatavilla GDPR:n 27 artiklan, NIS2:n tai GPSR:n mandaatteihin usein alennettuun hintaan. Esimerkiksi REP27 tarjoaa yhdistetyn CRA- ja GDPR-edustuksen 690 €/vuosi, tai kaikki kolme (CRA, GDPR, NIS2) 990 €/vuosi. Tarkista aina, onko uusintahinta kiinteä vai muuttuuko se, ja veloittaako palveluntarjoaja lisämaksun vaihdosta toiselle edustajalle.

Alla yhteenveto julkaistuista hinnoista ja sisällöistä:

Palveluntarjoajien on ilmoitettava mandaattia allekirjoittava oikeushenkilö. Varmista tämä aina ennen maksua.

Piilokustannukset ja poissulkemiset

Vaikka CRA-edustajan maksu on yleensä selkeä, todelliset CRA-vaatimustenmukaisuuden kustannukset ovat usein muualla. Merkittävimmät kulut liittyvät sisäisiin toimintoihin kuten suunnitteluun, dokumentointiin ja jatkuvaan tuotetukeen:

• Vaatimustenmukaisuuden arviointi: Tärkeille II-luokan ja kriittisille tuotteille ilmoitettu laitos suorittaa arvioinnin, joka voi maksaa tuhansia euroja ja kestää kuukausia. Edustajat eivät tarjoa tätä palvelua.
• Turvatestaus ja SBOM: Ohjelmistokomponenttiluettelo (SBOM) ja turvatestaus ovat teknisiä vaatimuksia, jotka hoidetaan omalla insinööritiimillä tai ulkoisilla turvallisuusyrityksillä. Edustajat eivät sisällytä tätä mandaattiinsa.
• Tukijakso: CRA vaatii valmistajia tarjoamaan turvallisuuspäivityksiä vähintään viiden vuoden ajan. Budjetoi jatkuva ylläpito ja korjaukset tuotelinjakohtaisesti, ei kertaluonteisena projektina.
• Häiriötilanteiden hallinta: Edustaja voi välittää haavoittuvuusraportit, mutta valmistaja vastaa tutkimuksesta, raportoinnista ja korjauksista.
• Hiljaiset uusinnat ja hinnankorotukset: Jotkut tarjoajat eivät julkaise uusintahintoja tai voivat nostaa maksuja ilman ennakkoilmoitusta. Pyydä aina kirjallinen uusintahinta ennen sopimuksen allekirjoittamista.

Alla yhteenveto palveluntarjoajien sisällöistä ja poissulkemisista saatavilla olevan tiedon perusteella:

Vältä yllätyksiä pyytämällä täydellinen lista poissulkemisista, irtisanomisajoista ja mahdollisista lisämaksuista.

Miten nimitys toimii: vaihe vaiheelta

CRA-valtuutetun edustajan nimeäminen on suoraviivainen prosessi, mutta se on hoidettava huolellisesti vaatimustenmukaisuuden varmistamiseksi. Tässä vaiheittainen opas:

1. Määritä soveltuvuus: Varmista, että yrityksesi on EU:n ulkopuolella ja että tuotteita, joissa on digitaalisia elementtejä, saatetaan EU-markkinoille. EU-pohjaiset valmistajat eivät tarvitse edustajaa.
2. Valitse reitti: Päätä, nimeätkö valtuutetun edustajan vai toimiiko maahantuojasi tai jakelijasi edustajana. Tämä on sovittava kirjallisesti.
3. Valitse palveluntarjoaja: Vertaa palveluntarjoajia julkisten hintojen, palvelun laajuuden ja läpinäkyvyyden perusteella. Pyydä kirjallinen vahvistus sisällöstä ja poissulkemisista.
4. Allekirjoita mandaatti: Palveluntarjoaja laatii nimityskirjeen, yleensä sähköisesti allekirjoitettuna. Asiakirjassa tulee selkeästi näkyä laajuus ja oikeushenkilö.
5. Vastaanota todistus: Saat nimitystodistuksen, mieluiten QR-koodilla tai julkisella varmennussivulla, joka liitetään teknisiin asiakirjoihin ja vaatimustenmukaisuustiedostoihin.
6. Päivitä dokumentaatio: Lisää edustajan tiedot tekniseen dokumentaatioon, toimintakäsikirjaan ja hankintamateriaaleihin.
7. Valmistaudu raportointiin: Perusta haavoittuvuuksien raportointiprosessi 14 artiklan 24 tunnin määräajan täyttämiseksi. Varmista, että tiedät, miten ottaa yhteyttä edustajaasi ja ENISA:n alustaan.

Tämän päivän tarkistuslista:

1. Laadi kartoitus tuotteistasi CRA-vaatimusten kannalta
2. Tunnista EU-myyntikanavasi (suora, markkinapaikka, jakelija)
3. Päätä, kuka toimii edustajana (tarvittaessa)
4. Pyydä kirjallinen vahvistus palveluntarjoajan hinnasta, laajuudesta ja uusintaehdoista
5. Valmistele haavoittuvuuksien raportointiprosessi ja nimeä vastuuhenkilöt

Oikea-aikainen nimitys ja selkeä dokumentaatio ovat välttämättömiä markkinoille pääsyn tai sääntelytoimien viivästymisen välttämiseksi.

Riskit ja sakot vaatimusten rikkomisesta

CRA:n edustajavaatimuksen rikkomisella voi olla vakavia seurauksia. 53 artiklan mukaan sakot voivat olla jopa 15 miljoonaa euroa tai 2,5 % maailmanlaajuisesta liikevaihdosta, kumpi on suurempi. Sakkoja voidaan määrätä, jos et nimeä edustajaa vaadittaessa tai et täytä raportointi- ja dokumentointivelvoitteita.

Rikkomisen riskit ovat:

• Sääntelysakot: Merkittävät taloudelliset seuraamukset edustajan nimeämättä jättämisestä, raportointimääräaikojen ylittämisestä tai puutteellisesta dokumentaatiosta.
• Markkinoille pääsyn viivästykset: Ilman edustajaa voi esiintyä viiveitä hankinnoissa, sertifioinneissa tai myyntiprosesseissa, koska ostajat ja viranomaiset vaativat vaatimustenmukaisuuden todistamista.
• Häiriötilanteiden hallinnan epäonnistumiset: Jos et pysty vastaamaan markkinavalvonnan tai CSIRT:n pyyntöihin ajoissa, riskinä ovat lisäsakot ja maineen menetys.
• Hankintarajoitteet: Suuret ostajat ja jakelijat voivat kieltäytyä yhteistyöstä ilman voimassa olevaa edustajamandaatia.
• Vastuu jää valmistajalle: Edustaja on vain yhteyshenkilö; kaikki vastuu tuotteen vaatimustenmukaisuudesta, turvallisuudesta ja häiriötilanteista jää valmistajalle.

Riskien vähentämiseksi varmista, että nimitys on dokumentoitu, raportointiprosessit ovat kunnossa ja vaatimustenmukaisuustiedostot ajan tasalla. Edustajan rooli on estää viiveet ja väärinkäsitykset häiriötilanteissa – ei kantaa vastuuta tuotteistasi.

Päätösmatriisi: Tarvitsetko CRA-valtuutetun edustajan?

Käytä seuraavaa matriisia määrittääksesi, tarvitsetko CRA-valtuutetun edustajan:

Markkinapaikkojen osalta varmista aina kirjallisesti, toimiiko alusta maahantuojana. Jos ei, vastuu edustajan nimeämisestä on sinulla.

Mitä palveluntarjoajat yleensä eivät kerro

CRA-edustajuuteen liittyy useita seikkoja, joita palveluntarjoajat eivät välttämättä korosta markkinointimateriaaleissaan:

• Laajuuden rajoitukset: 18 artiklan mandaatti kattaa vain edustuksen – ei vaatimustenmukaisuuden arviointia, SBOM:ia tai häiriötilanteiden hallintaa. Näiden sisällyttäminen on harhaanjohtavaa.
• Uusintahinnat: Monet tarjoajat eivät julkaise uusintahintoja, mikä johtaa hiljaisiin tai yllätyksellisiin korotuksiin. Pyydä aina kirjallinen vahvistus uusintaehdoista.
• Vastuu: Edustaja ei ota vastuuta tuotteen vaatimustenmukaisuudesta tai turvallisuusongelmista. Vastuu jää valmistajalle.
• Irtisanomisajat ja sopimuksen päättäminen: Sopimuksen päättämisen ehdot tai vaihtomahdollisuudet eivät usein ole julkisia. Kysy nämä tiedot ennen allekirjoitusta.
• Pyynnöstä veloitettavat maksut: Jotkut palveluntarjoajat voivat periä lisämaksuja erityispyyntöjen tai kiireellisten viestien käsittelystä. Selvitä nämä maksut etukäteen.
• Kielitaito ja saatavuus: Kyky käsitellä viranomaispyyntöjä useilla kielillä ja työajan ulkopuolella vaihtelee. Esimerkiksi REP27 tarjoaa 24/7 päivystävän palvelun, mutta muut eivät välttämättä.

Läpinäkyvyys on avainasemassa – pyydä täydellinen lista poissulkemisista, rajoituksista ja ehdoista ennen päätöksen tekemistä.

Realistiset skenaariot: Mikä reitti kannattaa valita

• Yhdysvaltalainen SaaS-yritys, joka myy EU:n yrityksille: EU:n ulkopuolisena valmistajana, joka tuo digitaalisia tuotteita EU-markkinoille, sinun on nimettävä CRA-valtuutettu edustaja. Tarvitset myös GDPR:n 27 artiklan edustajan. Yksinkertaisin ja kustannustehokkain tapa on käyttää palveluntarjoajaa kuten REP27, joka tarjoaa molemmat mandaattipalvelut paketissa, varmistaen yhden yhteyspisteen ja selkeät uusintahinnat.
• Kiinalainen Amazon-myyjä: Jos Amazon toimii maahantuojana, erillistä CRA-edustajaa ei välttämättä tarvita. Jos myyt suoraan tai markkinapaikan kautta, joka ei toimi maahantuojana, sinun on nimettävä CRA-edustaja. Varmista aina kirjallisesti markkinapaikan rooli, jotta vaatimustenmukaisuuden aukkoja ei synny.
• Brittiläinen verkkokauppa, joka myy IoT-laitteita EU-kuluttajille: Brexitin jälkeen Iso-Britannian valmistajat katsotaan EU:n ulkopuolisiksi. Jos myyt suoraan EU-kuluttajille tai jakelijoiden kautta, jotka eivät toimi edustajina, sinun on nimettävä CRA-edustaja. Jos jakelija tai maahantuoja tuo tuotteen EU-markkinoille omalla nimellään, he voivat toimia edustajana.

Jokaisessa skenaariossa avain on dokumentoida järjestely, päivittää tekniset tiedostot ja varmistaa raportointiprosessien valmius 24 tunnin haavoittuvuushälytysvaatimukseen.